关于Winnt/2k IDT的一些思考(续)

韩冰

文章内容：
- n0 J3 X# c1 c  v$ J$ Z" G--------------------------------------------------------------------------------
1 B9 Y: f% O7 }作者：suxm < suxm@nsfocus.com >
主页：http://www.nsfocus.com
日期：2001-09-10

<<接上期>>
$ M+ I9 I0 u4 _1 A( Y
IDT是定义硬件中断映射的表，当硬件中断发生的时候，CPU会直接把控制权交到IDT的相应ISR中去运行，根本不去关心是否有Kernel Interrupt Object(CPU根本不知道Kernel Interrupt Object是什么)。

! s0 I8 c; }5 n8 ]; t4 u! o2 p[ 读者小强：啊？？？！！！想不到Interrupt Object这么不重要？？？那Interrupt Object在中断发生的过程中扮演着什么角色呢？]
2 J  s: a( N  D, ?1 r2 g2 g" T  p  ^呵呵，别忙，Interrupt Object还是很重要的。当你调用IoConnectInterrupt()的时候，Kernel会构造Interrupt Object. 然后Kernel把Interrupt Object的地址放到IDT的相应表项中。这就是说，当中断发生的时候，CPU会把控制权交到IDT相应表项所对应的ISR中，而这个ISR，就 是Interrupt Object中的代码。现在明白了吧？我们可以这样理解，中断发生的时候，相应的Interrupt Object被调用。
下面我们将要演练一下如何在NT下hook系统中断，以使读者对以上基础知识理解得更加深刻。
在开始激动人心的练习之前，我们有必要再强调一下上面的几个概念：Trap/Interrupt gate描述符、IDTR、Interrupt Object。
通过sidt这条汇编指令，可以获得IDTR的内容，由此，可以得到IDT的Base Address（基址）和Limit（最大的长度限制）。一旦得到IDT 的Base Address，我们就可以找到想要hook的中断号，然后@#@!$!@$@#$@#%$^$……，对不起，刚才晕倒了，太激动了。然后，我们改变 那个我们想要替换的IDT表项的Code Segment Selector和Offset，当然，别忘了备份好被替换的Code Segment Selector和Offset。并要确保新 的中断处理函数能正常调用原来的中断处理函数（这就相当于把新的中断处理函数插在了原中断处理函数之前，但是不影响原中断处理函 数的使用）。
/ F0 v! T+ d) R  ?6 @, z/ a& q" G/ _[ 读者小强：什么是IDT表项的Code Segment Selector和Offset呀？]
[ suxm: 去看看上一期月刊的图1 ]
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、替换并备份IDT表项”的功能。
$ y9 _0 t6 ]5 E" v  \: O: f, `9 L9 v
, a4 _' g! a" a/* 在Winnt和Win2k下，RTC时钟中断被映射到IDT的第0x38项 */
#define HOOKINT 0x38
NTSTATUS DriverSpecificInitialization( )
{
PIdtEntry_t IdtEntry;
# E# ]/ ~2 h, i0 _& bextern PServiceDescriptorTableEntry_t KeServiceDescriptorTable;
6 l9 ~- X$ t- n' X. U1 a( T0 l2 F8 L
NumberOfServices = KeServiceDescriptorTable->NumberOfServices;
ServiceCounterTableSize = (NumberOfServices+1)*sizeof(int);
ServiceCounterTable = ExAllocatePool(PagedPool, ServiceCounterTableSize);
0 ^* z! B5 A2 h0 t" L2 K: g
/* 有必要检查一下，有时候内存不足会导致ExAllocatePool返回NULL */
if (!ServiceCounterTable)
return STATUS_INSUFFICIENT_RESOURCES;
, X1 w: r, |' K/ n. F2 A
memset(ServiceCounterTable, 0, ServiceCounterTableSize);
*ServiceCounterTable=NumberOfServices;
( {5 D1 m) [. [/ ^8 Z; e
/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
4 x  ^! g6 w' m0 e9 R; `IdtEntry=(PIdtEntry_t)Idtr->Base;
1 o+ Z8 V, L) t0 X8 u2 ~: B& r
4 ]% Z( v3 |# @& `  H/* HOOKINT就是我们想要hook的中断号
. u& r  O% c. M0 ~+ t1 ]1 k' R% h这条语句的作用是找到我们要hook的IDT表项，然后备份原来的内容*/
OldHandler = ((unsigned int)IdtEntry[HOOKINT].OffsetHigh<<16U)|
(IdtEntry[HOOKINT].OffsetLow);
. g0 D0 F+ w2 `8 T! g3 W* P0 J  h
; l2 m% A9 x1 `+ g7 K3 ^/* 在IDT表项的相应位置写入新的中断处理函数的地址
用新的中断处理函数替换原中断处理函数 */
_asm cli /* 这里注意，因为中断说不准会在这时候发生，所以要先diable中断 */
IdtEntry[HOOKINT].OffsetLow = (unsigned short)NewHandler;
! x4 T# c- R4 |IdtEntry[HOOKINT].OffsetHigh = (unsigned short)((unsigned int)NewHandler>16);
  W: {# L2 f" w) F' p: {_asm sti /* Enable中断请求 */

7 r$ O' W! T# Z8 b" X) G' dreturn STATUS_SUCCESS;
$ z5 p  \+ q& O5 P7 F1 f9 S}
2 ^& `  M  a% K' |
上面是对IDT表项进行hook，我们只是修改了相应表项的Code Segment Offset。经过替换后，新的中断处理函数与原中断处理函数的“性 质相似”，即表项中其余的字段相同。如果读者对这句话不理解，那就请看IDT表项的数据结构。
( e8 V; ]+ [4 k3 Mtypedef struct InterruptGate
9 `+ x) g- Z3 F# E' l7 @& w{
& u" Y2 g: `9 g7 O  N: Eunsigned short OffsetLow;
$ a' A6 B  s4 M* h  d% Cunsigned short Selector;
unsigned char Reserved;
' q' r% L& T- a" e& K  O0 tunsigned char SegmentType;
unsigned char SystemSegmentFlag;
unsigned char Dpl;
unsigned char Present;
unsigned short OffsetHigh;
} InterruptGate_t;

在上面的例子中，OffsetLow和OffsetHigh被改写了，从而hook了中断。让我们思考这样一个问题：如果IDT的相应表项没有内容呢，也就 是说，如果我们想让IDT的空表项指向我们的中断处理函数，又该怎么办呢？
# ^0 y7 L1 H7 Z8 G8 d5 H$ I! I1 E4 x
  c- z( Z. z" ?[ 读者小强：Winnt和2K的IDT中有空表项吗？]
是的，比如说，在Winnt下，IDT表项的第22h---29h就是空表项。 这就是说我们可以给Winnt加入新的中断。但是，这里有了新的难度， 我们必须认真理解和填写上面数据结构InterruptGate中的所有字段。
下面这些代码出自《Undocumented WindowsNT》，实现上述“搜索IDT、填写IDT表项所有字段”的功能。
1 R( j* i! z- z- C! G; w) @% X2 TNTSTATUS AddInterrupt()
{
PIdtEntry_t IdtEntry;

2 Q1 N" p) Z/ R0 a! V# A5 {, J8 Q2 O/* 获得IDTR Register 的Base Address和Limit*/
_asm sidt buffer
IdtEntry=(PIdtEntry_t)Idtr->Base;
# T! G8 C/ X" r% |' I+ T8 jif((IdtEntry[ADDINT].OffsetLow!=0)||(IdtEntry[ADDINT].OffsetHigh!=0))
return STATUS_UNSUCCESSFUL;
/ u: s2 B7 [; k% L8 u! x
/ K9 l) O2 Z3 i7 \, y_asm cli

0 m6 w- U- n7 O* P3 ]# ]/* 填写IDT表项的所有字段，使新的IDT表项指向我们的中断处理函数 */
IdtEntry[ADDINT].OffsetLow=(unsigned short)InterruptHandler;
$ u& u+ Y$ b  n: y+ T5 rIdtEntry[ADDINT].Selector=8;
4 z; v3 b( @: ?( H" }$ PIdtEntry[ADDINT].Reserved=0;
3 ~- C7 t. j* Y& S) fIdtEntry[ADDINT].Type=0xE;
7 e3 A+ v' v: C9 o9 O  ]% ]7 iIdtEntry[ADDINT].Always0=0;
IdtEntry[ADDINT].Dpl=3;
IdtEntry[ADDINT].Present=1;
IdtEntry[ADDINT].OffsetHigh=
(unsigned short)((unsigned int) InterruptHandler>16);
; o. r2 k4 Y- M4 ^, T0 O/ ]/ n_asm sti
) v  l! M# C* a3 l! I' @2 p/ f- U* O  R
return STATUS_SUCCESS;
0 a& R1 x- v) w, ?; B& c4 M}
, S' K) i% e% s% k) K
& Q6 Q0 s% [$ }1 Q/ Q让我们就上面的代码提一些问题。
, T5 W8 k- ]" cQ: 上面的代码IdtEntry[ADDINT].Selector=8; 这是怎么回事？
A：按Ctrl+D进到Softice里，你会发现，所以的system代码，都存在于一个段中。这
, S* D  c, r/ k& b6 p3 b个段的名称就是8（CS=8）。
8 d6 A. s7 R  B/ K! H
Q: 上面的代码IdtEntry[ADDINT].Dpl=3; 这是怎么回事？
A：问得好，小强。这说明，这个中断可以在应用程序中，通过int xxx的形式触发。因为
  S8 o  ^" ^: K7 E5 P& r应用程序的DPL=3，所以，可以直接触发这个中断。

Q: 上面的代码IdtEntry[ADDINT].Type=0xE; 这是怎么回事？
A：按Ctrl+D进到Softice里，然后敲入指令idt。输出如下
8 U( P8 Z$ H" c: Q; T# C/ @. g6 G:idt
& g# r0 z% }% i" A& CInt Type Sel:Offset Attributes Symbol/Owner
/ E; E5 v  {/ U4 Q" M* N! u$ JIDTbase=80036400 Limit=07FF
0000 IntG32 0008:80465946 DPL=0 P ntoskrnl!Kei386EoiHelper+0590
- E: I, Q9 ~9 }6 g+ ~8 }0001 IntG32 0008:80465A96 DPL=3 P ntoskrnl!Kei386EoiHelper+06E0
……
7 X, @# Q$ N& W6 z可见，0xE表示IntG32。
9 ^# l3 }: `3 r9 Q
终于快到下课的时间了，让我再多说几句好吗？
6 _. }% o4 z1 C/ D" ^' Z通过对Winnt/2k IDT的分析，我们对IDT有了一些基本认识。上面介绍的通过修改IDT来hook中断的方法，是很危险的。笔者强烈建议读 者尽量通过Winnt/2k DDK官方资料提供的API来实现hook中断的功能。